En sandkasse, gitt bort
Perplexity slapp SPACE som åpen kildekode 15. oktober, under Apache 2.0-lisens. Det er innesperringslaget selskapet bygde for sine egne Portable Computer-agenter, som utfører oppgaver som å bygge nettapper, undersøke produkter og bestille hotell, og det ligger nå på GitHub for hvem som helst å kjøre.
Konstruksjonen er en microVM, ikke en container. Hver sandkasse er en Firecracker-virtuell maskin med eget operativsystem, og applikasjoner styrer den over et HTTP-API som oppretter Linux-miljøer, kjører kommandoer, samler utdata og river maskinen. SiliconANGLE beskrev resten: et kontrollplan operatøren eier, hyppige filøyeblikksbilder og sjekkpunkter slik at en økt kan rulles tilbake, og pause, gjenopptakelse og forgrening av økter.
To valg veier tyngre enn virtualiseringen. Sandkassen behandles alltid som upålitelig, og både nettverkstilgang og plattformlegitimasjon holdes utenfor den — en agent kan nå en tjeneste den har rett til uten noen gang å se hemmeligheten som gir den retten.
Tallene, og gapet mellom dem
Perplexity testet sandkassen med et rødt lag og ba ni frontmodeller bryte seg ut. Semafor og SiliconANGLE oppgir begge 118 forsøk uten et eneste vellykket utbrudd. Selskapets egen rapport, slik MarkTechPost oppsummerer den, teller 0 av 108 kjøringer som nådde hemmeligheten på vertssiden.
De to tallene er ikke forklart offentlig. De kan beskrive ulike deler av samme evaluering — hele øvelsen mot den spesifikke vertshemmelighetstesten — men kunngjøringen sier det ikke, og ingen utenfor selskapet kan kontrollere det. Alt her er oppgitt av leverandøren: Perplexity konstruerte sandkassen, skrev angrepsledetekstene, poengsatte resultatene og publiserte dem. Ingen uavhengig evaluator har gjentatt øvelsen.
Det nyttigste tallet er det som dokumenterer en svikt. På nettverksbegrensninger ga 11 av 54 kjøringer en omgåelse før Perplexity tettet svakhetene, og fire av de ni modellene fant en vei. Selskapet sier at ingen modell etter rettingene fikk til en verifisert omgåelse ved ny testing. En påstand om innesperring er verdt mer når det publiserte regnskapet også inneholder det som sviktet.
Sammenligningen som ikke kan kontrolleres
Perplexity sier også at de samme modellene slapp ut av kommersielle sandkasser selskapet ikke har åpnet kildekoden til. Det har verken navngitt produktene eller publisert kjøringene, så påstanden ligger utenfor det noen kan etterprøve, og den gjelder konkurrenter og kommer fra et selskap som leverer alternativet. Den bør leses som markedsføring til detaljene kommer.
CoreWeave, Akamai og Crusoe planlegger å tilby SPACE til kundene sine, noe som betyr mer enn testen: tre infrastrukturleverandører som tar i bruk ett og samme innesperringslag, er slik en standard oppstår.
Rekkverk i stedet for alignment
Zibi Braniecki, medarbeider i Perplexitys tekniske stab, sa til Semafor at selskapet har satset på å gjøre rekkverkene hardere og mer pålitelige framfor å arbeide med modellenes alignment, der de fleste frontlaboratorier legger innsatsen. Han sammenlignet oppgaven med nettets tidlige år, da konkurrenter bygde felles rekkverk for trygg surfing og handel, og sa at bransjen i dag tenker for smått.
Resonnementet henger sammen. Alignmentarbeid forsøker å få en modell til ikke å ville bryte ut; en sandkasse går ut fra at den vil prøve. Den andre antakelsen overlever en modell man ikke har trent selv, som er situasjonen for ethvert selskap som kjører en annens agent.
SPACE er ikke alene. Nvidia slapp OpenShell forrige måned som del av sin Open Agent Safety Platform, og SiliconANGLE oppgir at det heller ikke ble registrert utbrudd der. Perplexity har også åpnet kildekoden til BrowseSafe, Numbat og Bumblebee.
Hva man skal følge med på
Prøven blir om noen utenfor Perplexity kjører utbruddssuiten og publiserer det de finner, og om tallene 118 og 108 får en forklaring. Inntil da er den ærlige oppsummeringen at en mye brukt sandkasse nå kan inspiseres, som er selve poenget med å slippe den.
